DE3816254A1

DE3816254A1 - CONTROL UNIT FOR STEERING THE REAR WHEELS OF A ROAD VEHICLE

Info

Publication number: DE3816254A1
Application number: DE3816254A
Authority: DE
Inventors: Hans Rauner; Gerhard Gerl; Edmund Donges; Reinhard Auffhammer; Thomas Seidenfuss
Original assignee: Siemens AG; Siemens Corp
Current assignee: Siemens AG; Siemens Corp
Priority date: 1988-05-11
Filing date: 1988-05-11
Publication date: 1989-11-23
Also published as: WO1989010865A1; JPH03504362A; EP0418258A1; EP0418258B1; DE58901285D1; EP0418258B2; JP2513878B2

Abstract

An electronic control unit for steering the rear wheels of a road service vehicle comprises: a steering device (LE) controlled, in turn, in an emergency by an emergency steering signal which controls appropriately and in accordance with a chosen concept of emergency operation the steering angle of the rear wheels, for example by returning the steering angle to zero after a delay or by maintaining the most recent steering angle; sensors (SE with Lwr1, Lwr2, ABS, Tach, Ist1, Ist2, St) which record at least the steering angle (Lwr1, Lwr2), the vehicle speed (Tach) and the angle of deflection of the steering wheel (Lw1), or quantities dependent thereon; and a computing unit (P) containing a computer (P1, P2) which receives the sensor signals, and/or signals derived therefrom, in the form of control signals and which in an emergency sends the emergency steering signal to the steering device (LE) in function of a programmed emergency-detecting evaluation of the control signals. The computing unit (P) contains two computers (P1, P2). The control signals are fed to the two computers (P1, P2). Each computer (P1, P2) evaluates the control signals and, in an emergency, immediately emits an emergency steering signal to the steering device (LE), independently of the other computer (P1, P2).

Description

Die Erfindung geht von der speziellen Steuereinheit aus, die im Oberbegriff des Patentanspruches 1 definiert ist. Es handelt sich also um eine Steuereinheit, welche auch Notfälle - z.B. schlupfende Räder, schleudernes Straßenfahrzeug und/oder Defek te in sicherheitsrelevanten elektronischen Bauteilen wie z.B. Sensoren - mehr oder weniger gut beherrscht, indem dann die Lenkung der Hinterräder nicht wie im Normalbetrieb gesteuert wird, sondern nach einem besonderen Notbetriebskonzept. Es ist eine Reihe verschiedener solcher Notbetriebskonzepte für sich bekannt. Die Erfindung wurde zunächst zwar für ein Notbetriebs konzept entwickelt, bei dem der Lenkwinkel im Notfall durch Blockieren der Lenkung der Hinterräder starr beibehalten wird. Es zeigt sich jedoch, daß die Erfindung darüber hinaus auch auf alle anderen Notbetriebskonzepte angewendet werden kann.The invention is based on the special control unit, which is defined in the preamble of claim 1. It is therefore a control unit which also more or less masters emergencies - e.g. slipping wheels, skidding road vehicle and / or defects in safety-related electronic components such as sensors - by then not controlling the steering of the rear wheels as in normal operation, but according to a special emergency operating concept. A number of different such emergency operating concepts are known per se. The invention was initially developed for an emergency operating concept, in which the steering angle is rigidly maintained in an emergency by blocking the steering of the rear wheels. It turns out, however, that the invention can also be applied to all other emergency operating concepts.

Die Aufgabe der Erfindung,The object of the invention

- to offer a new type of security concept, which additionally Lich to any emergency operating concepts for further verbs Mastery of the road vehicle in an emergency can be used,
- namely especially the fault tolerance of the control unit increase, especially by preventing the rakes unit error due to a malfunctioning computer certainly does not give a steering distress signal, although an emergency is present - a particularly dangerous situation that can cause serious accidents to the road vehicle, and
- to enable the computing unit anyway, possible in an emergency to immediately give your emergency steering signal,

wird durch die im Patentanspruch 1 angegebenen Maßnahmen ge löst. is ge by the measures specified in claim 1 solves.

Bei der Erfindung werden also die Rechner in der Recheneinheit in besonderer Weise gedoppelt und abweichend von der meistens verwendeten Betriebsart von gedoppelten Rechnern betrieben. Meistens werden nämlich gedoppelte Rechner mittels einer Ver gleichereinheit überwacht, welche die Rechenergebnisse beider Rechner - z.B. mikrosynchron - vergleicht, wobei evtl. noch mit Hilfe besonderer Rechenmethoden, z.B. mit Hilfe von EDC- Verfahren oder durch andere Selbsttestverfahren, der einwand frei rechnende Rechner ermittelt und dessen Ergebnisse allein verwertet werden. Diese Test- oder Vergleichereinheit kann aber selber jeweils ebenfalls fehlerhaft arbeiten - z.B. auch trotz EDC-Verfahren bei so manchen Vielfachfehler-Kombinationen, wenn mehrere Fehler gleichzeitig auftreten - oder regelrecht defekt sein, wenn sie eine Ungleichheit der Rechenergebnisse feststellt - sie kann sogar defekt sein, wenn sie eine Gleichheit dieser Ergebnisse feststellt! - und damit selbst die Zuverlässigkeit der Steuereinheit verringern, besonders wenn sie die Abgabe des Lenknotsignales verhindert, obwohl objektiv ein Notfall vor liegt und von der Recheneinheit jedenfalls sogar bis zu einem gewissen Grade durchaus erkannt wurde.In the case of the invention, the computers in the computing unit are therefore duplicated in a special way and, in contrast to the operating mode which is mostly used, are operated by duplicated computers. Most of the time, duplicate computers are monitored by means of a comparison unit, which compares the calculation results of both computers - for example microsynchronously - whereby, with the help of special computing methods, for example with the aid of EDC methods or other self-test methods, the perfectly computing computer is determined and the results of which are used alone. However, this test or comparator unit itself can also work incorrectly - for example, despite the EDC process with some multiple error combinations if several errors occur simultaneously - or can be downright defective if it detects an inequality in the calculation results - it can even be defective if it determines that these results are the same! - And thus reduce the reliability of the control unit itself, especially if it prevents the steering signal from being emitted, although objectively there is an emergency and was in any case even recognized to a certain extent by the computing unit.

Bei der Erfindung wird sowohl die Zeitverzögerung, die durch den Vergleich notwendig ist, aber vor allem auch die Unzuver lässigkeit vermieden, die durch einen Fehler innerhalb der Ver gleichereinheit hervorgerufen wird. Ebenso wird durch die Er findung vermieden, daß umständlich bei anscheinend voneinander abweichenden und zusätzlich bei anscheinend nicht voneinander abweichenden Rechenergebnissen - zumindest häufig immer wieder - auch die Vergleichereinheit für sich zu testen ist, wobei auch dieser Test für sich wieder nicht nur Zeit benötigt, son dern auch für sich eine Fehlerquelle und damit eine unnötige Zuverlässigkeitsverringerung mit sich bringen kann.In the invention, both the time delay that is necessary due to the comparison, but above all the unreliability that is caused by an error within the comparison unit is avoided. Likewise, it is avoided by the invention that the comparator unit is to be tested for complicated, apparently different and, in addition, apparently not different computing results - at least frequently again and again - whereby this test does not only take time, but also that can also be a source of error and thus an unnecessary reduction in reliability.

Bei der Erfindung werden also auch solche durch Vergleicherein richtungen bedingten Betriebsunsicherheiten und Verzögerungen des Betriebs der gedoppelten Rechner vermieden, indem bereits jeder Rechner für sich ein Lenknotsignal jeweils unmittelbar und damit sofort an die Lenkeinrichtung abgibt, selbst wenn der andere Rechner noch kein Lenknotsignal abgibt. Solange beide Rechner einwandfrei arbeiten, steuert die Erfindung die Lenkung der Hinterräder gemäß dem jeweils gewählten Notbetriebskonzept im Notfall einwandfrei. Falls hingegen einer der beiden Rechner - warum auch immer - z.B. nur auf Grund eines transienten Feh lers in seinem Programmspeicher - ein fehlerhaftes Ergebnis er rechnet, so gibt er auf Grund dieses Ergebnisses eventuell ein an sich höchstens unnötiges Lenknotsignal ab, falls nämlich das errechnete Ergebnis einen Notfall vortäuscht. Eine solche, an sich fehlerhafte Steuerung der Lenkung der Hinterräder ist je doch tolerierbar; bei einem Defekt eines der Rechner steuert die Erfindung nämlich ihre Lenkeinrichtung mit vernünftiger Wahrscheinlichkeit nie in höchst gefährlicher Weise so, als ob ein Normalbetriebsfall vorläge obwohl ein Notfall vorliegt.In the invention, such uncertainties and delays in the operation of the duplicate computers due to the comparator devices are avoided by each computer immediately giving a steering emergency signal to the steering device, and thus immediately, even if the other computer is not yet emitting a steering emergency signal. As long as both computers work properly, the invention controls the steering of the rear wheels according to the chosen emergency operating concept in an emergency. If, on the other hand, one of the two computers - for whatever reason - for example only because of a transient error in its program memory - calculates a faulty result, it may emit a steering emergency signal which is at most unnecessary per se based on this result, if the calculated result feigns an emergency. Such a faulty control of the steering of the rear wheels is tolerable; in the event of a defect in one of the computers, the invention, with a reasonable degree of probability, never controls its steering device in a highly dangerous manner as if a normal operating situation existed even though there was an emergency.

Die in den Unteransprüchen angegebenen Maßnahmen gestatten, die Zuverlässigkeit der Steuereinheit weiter zu erhöhen, nämlich jeweils entsprechende weitere Vorteile zu erreichen. Unter anderem ge statten nämlich die Maßnahmen gemäß PatentanspruchThe measures specified in the subclaims allow the To further increase the reliability of the control unit, namely to achieve corresponding further advantages in each case. Among other things, ge equip the measures according to claim

2, gefährliche Situationen für das Straßenfahrzeug zu vermei den, indem bei wesentlichen Defekten oder Fehlzuständen der betreffenden Bestandteile in den Notfallbetrieb entspre chend dem gewählten Notbetriebskonzept übergegangen wird,
3, zu verhindern, daß bei Defekt eines Notorganes ein Lenknot signal keine notfallgerechte Steuerung der Lenkung der Hin terräder auslöst,
4, auch bei Ausfall eines der Rechner und /oder auch bei Stö rung - z. B. Bruch - einer der Notsignalleitungen zuverläs sig und redundant die gedoppelten Notorgane zu steuern,
5, zu ermöglichen, daß sich die Rechner gegenseitig überwachen bzw. testen,
6, eine gegenseitige Überwachung bzw. Testung der Rechner ohne präzise zeitliche Abstimmung bzw. Synchronisation zwischen den Rechnern erreichen zu können, z.B. indem ein Rechner im anderen Rechner zeitlich verzögert, nämlich angepaßt an den jeweiligen Beginn der Rechenpausen des anderen Rechners, ein Testprogramm abzuarbeiten gestattet,
7, eine zuverlässige nachträgliche Diagnose der Ursache der Lenknotsignalabgabe zu erreichen, selbst wenn einer oder beide Rechner "sich völlig verrannt" hatte, also nicht mehr tolerierbare Schwierigkeiten bei der Auswertung der zuge führten Steuersignale hatten,
8, zu erreichen, daß die Rechner auch nach dem Start nur dann einen Normalbetrieb zulassen, sobald die Steuereinheit zu verlässig genug einen anfänglich eventuell vorliegenden Notfall ausschließen kann,
9, beim Start zu erreichen, daß in sehr übersichtlicher Weise die Notorgane jeweils nur von einem der Rechner so gesteu ert werden, daß der Übergang in den Normalbetrieb erst er folgt, sobald beide Rechner durch Auswertung der ihnen zu geführten Steuersignale deutlich genug diagnostizierten, daß die ihnen jeweils zugeordneten Notorgane einwandfrei arbeiten,
10, eine besonders klare Analyse beim Start zuzulassen, ob eventuell einer der Rechner - oder eines der Notorgane - nicht ganz einwandfrei arbeitet,
11, die Rechner auch im Normalbetrieb zur Steuerung der Hinter radlenkung verwenden zu können,
12, auch beim Start, bei dem manche der Sensorsignale noch keine brauchbaren Werte liefern und eine zuverlässige Aus wertung durch die Rechner noch kaum möglich ist, eine hohe Betriebssicherheit für das Straßenfahrzeug zu erreichen,
13, sehr unkompliziert nachträglich nach jeder Rechnung durch einen Vergleich der Rechenergebnisse beider Rechner fest stellen zu können, inwieweit die Ergebnisse voneinander ab wichen, und bei Bedarf sofort ein Fehlerdiagnoseprogramm starten zu können, das die Ursache für größere Abweichungen der Rechenergebnisse aufklärt,
14, zu ermöglichen, daß der eine Rechner bereits sein Lenknot signal abgeben kann, während der andere seine derzeitige Auswertung noch nicht abgeschlossen hat; die Auswertung, also die Berechnung der Rechenergebnisse, ist nämlich oft dermaßen aufwendig, z.B. wegen komplizierter zu lösender Differentialgleichungen durch Iterativverfahren, daß zwi schen der Eingabe der Sensorsignale bzw. Steuersignale in den Rechner einerseits und dem Vorliegen des Rechenergeb nisses andererseits häufig 10 msec und noch viel mehr Zeit verstreicht,
15, Programmfehler, also Softwarefehler, durch die ein Notfall irrtümlicherweise nicht erkannt wird, unschädlich zu machen, indem zumindest der andere Rechner mit hoher Wahrschein lichkeit im Notfall rechtzeitig sein Lenknotsignal abgibt,
16, Hardwarefehler in einem der beiden Rechner, durch die ein Notfall irrtümlicherweise nicht erkannt wird, unschädlich zu machen, indem zumindest der andere Rechner mit hoher Wahrscheinlichkeit im Notfall rechtzeitig sein Lenknotsi gnal abgibt,
17, zu ermöglichen daß beide Rechner sich sehr flexibel dem je weiligen Zeitbedarf zur Auswertung der Steuersignale anpas sen können,
18, zu erreichen, daß fehlerhafte oder ungenau messende Sensoren erkannt und nicht berücksichtigt werden und/oder daß Mittel werte aus den von den beiden zusammengehörenden Sensoren abgegebenen Sensorsignale bzw. Mittelwerte von davon abzu leitenden Signalen gebildet und als Steuersignale dem Rech ner bzw. den Rechnern zugeführt werden können und/oder daß von den gedoppelten Sensoren stets nur jener berücksichtigt wird, der den stärksten Hinweis gibt, daß ein Notfall vor liegen könnte,
19, eine Entlastung der Rechner zu erreichen, wodurch die Rech ner ihren Auswertungszyklus schneller beenden und damit im schnelleren Rhythmus Rechenergebnisse erstellen können, also im Notfall schneller das Lenknotsignal abgeben können,
20, mit besonders wenig Hardwareaufwand für die Aufbereitungs einheiten einer Entlastung der Rechner, damit eine Verkür zung der Auswertungszyklen innerhalb der Rechner und kürze re Rechenzyklen zur Ermittlung der Rechenergebnisse errei chen zu können, so daß mit besonders wenig zusätzlichem Hardwareaufwand die Rechner im Notfall schneller ihr Lenk notsignal abgeben können, und
21, mit besonders wenig Aufwand nach einem worst-case-Prinzip jenem Sensor der ansich defakto gleichwertigen, unterein ander redundanten Sensoren den größten Einfluß auf die Ab gabe der Lenknotsignale zu ermöglichen, welcher den kri tischsten, am stärksten einen Notfall signalisierenden Zu stand feststellt, so daß z.B. ein durch Alterung bedingter Ausfall eines der redundanten Sensoren nur zur Folge hat, daß der von diesem Sensor überwachte Zustand wegen des re dundanten anderen Sensors weiterhin im Notfall die Hinter radlenkungen notfallgerecht steuert.2, to avoid dangerous situations for the road vehicle by moving to emergency operation in accordance with the selected emergency operating concept in the event of significant defects or faulty conditions of the relevant components,
3, to prevent a steering emergency signal from not triggering an emergency-appropriate control of the steering of the rear wheels if an emergency organ is defective,
4, even if one of the computers fails and / or if there is a fault - e.g. B. breakage - one of the emergency signal lines to control the duplicated emergency organs reliably and redundantly,
5, to enable the computers to monitor or test one another,
6, mutual monitoring or testing of the computers without being able to achieve precise timing or synchronization between the computers, for example by allowing one computer in the other computer to delay a test program, namely adapted to the respective start of the computing pauses of the other computer ,
7 to achieve a reliable subsequent diagnosis of the cause of the steering emergency signal delivery, even if one or both computers "got completely lost", ie had intolerable difficulties in evaluating the control signals supplied,
8, to achieve that the computers only permit normal operation even after the start, as soon as the control unit can reliably exclude an emergency which may initially be present,
9, to achieve at the start that the emergency organs are only controlled by one of the computers in such a way that the transition to normal operation only takes place as soon as both computers have been diagnosed clearly enough by evaluating the control signals supplied to them that the emergency organs assigned to them work properly,
10 to allow a particularly clear analysis at the start, whether one of the computers - or one of the emergency organs - is not working properly,
11 to be able to use the computers in normal operation to control the rear wheel steering,
12, even at the start, when some of the sensor signals do not yet provide usable values and reliable evaluation by the computer is still hardly possible to achieve high operational safety for the road vehicle,
13, to be able to determine very easily after each calculation by comparing the calculation results of the two computers, to what extent the results differ from one another, and, if necessary, to be able to start an error diagnosis program immediately, which clarifies the cause of major deviations in the calculation results,
14, to make it possible for one computer to be able to give its steering distress signal while the other has not yet completed its current evaluation; The evaluation, i.e. the calculation of the calculation results, is often so complex, e.g. due to complicated differential equations to be solved by iterative methods, that between the input of the sensor signals or control signals into the computer on the one hand and the presence of the calculation result on the other hand often 10 msec and more a lot more time passes
15, to render program errors, that is to say software errors, by which an emergency accidentally not recognized, harmless by at least the other computer having a high probability of emitting its steering emergency signal in good time in an emergency,
16, to render hardware faults in one of the two computers, by which an emergency is not recognized by mistake, harmless, by at least the other computer giving off its steering signal in good time in an emergency,
17, to enable both computers to adapt very flexibly to the time required to evaluate the control signals,
18, to achieve that faulty or inaccurately measuring sensors are recognized and not taken into account and / or that mean values are formed from the sensor signals emitted by the two sensors belonging together or mean values from signals to be derived therefrom and as control signals to the computer or the computers can be supplied and / or that the duplicated sensors only take into account the one that gives the strongest indication that an emergency could be present,
19 to relieve the pressure on the computers, as a result of which the computer ends its evaluation cycle more quickly and can therefore produce calculation results in a faster rhythm, that is to say can emit the steering emergency signal more quickly in an emergency,
20, with particularly little hardware expenditure for the processing units to relieve the computers, so that a shortening of the evaluation cycles within the computers and shorter re calculation cycles for determining the calculation results can be achieved, so that the computers in an emergency can use them faster in an emergency Can give steering distress signal, and
21, with particularly little effort according to a worst-case principle, to enable that sensor, which in itself is defacto equivalent, among other things redundant sensors, to have the greatest influence on the output of the steering emergency signals, which determines the most critical, most signaling an emergency condition, so that, for example, a failure of one of the redundant sensors due to aging only has the consequence that the state monitored by this sensor continues to control the rear wheel steering in an emergency because of the redundant other sensor in an emergency.

Die Erfindung wird anhand der in den Figuren gezeigten Prinzip schemen von Ausführungsbeispielen mit jeweils zwei Rechnern P 1, P 2 weiter erläutert.The invention is further elucidated on the basis of the principle shown in the figures of exemplary embodiments with two computers P 1 , P 2 .

Bei dem in Fig. 1 gezeigten Beispiel enthält die Lenkeinrichtung LE beispielhaft eine hydraulische Klemmeinrichtung Noh, welche im Notfall die Lenkung der Hinterräder so blockiert, daß der bis dahin vorhandene Lenkwinkel weiterhin starr beibehalten bleibt, indem hydraulisch jegliche Lenkwinkeländerung durch entsprechende Brems- bzw. Klemmvorrichtungen verhindert wird.In the example shown in Fig. 1, the steering device LE contains, for example, a hydraulic clamping device Noh , which blocks the steering of the rear wheels in an emergency in such a way that the steering angle present up to that point remains rigid, by hydraulically changing any steering angle by means of corresponding braking or clamping devices is prevented.

Außerdem enthält die Lenkeinrichtung LE ein Stellaggregat Sa, welches im Normalbetrieb den Lenkwinkel der Hinterräder ein stellt. Die Rechner P 1, P 2 steuern also bei diesem Beispiel den Lenkradwinkel der Hinterräder auch im Normalbetrieb, eben mit tels des Stellaggregates Sa. Daher greifen bei diesem Beispiel die Rechner nicht nur in Notfall in die Lenkwinkelsteuerung der Hinterräder ein, sondern auch im Normalbetrieb.In addition, the steering device LE contains an actuator Sa , which sets the steering angle of the rear wheels in normal operation. In this example, the computers P 1 , P 2 thus control the steering wheel angle of the rear wheels even in normal operation, just by means of the actuating unit Sa. Therefore, in this example, the computers not only intervene in the steering angle control of the rear wheels in an emergency, but also in normal operation.

Ferner enthält die Lenkeinrichtung LE eine oder mehrere Lampen L, welche dem Fahrer den Normalbetrieb und den Störfall signa lisieren und z.B. auch den momentanen Wert des Lenkwinkels an zeigen können.Furthermore, the steering device LE contains one or more lamps L , which signal the normal operation and the accident to the driver and, for example, can also show the current value of the steering angle.

Darüber hinaus enthält im gezeigten Beispiel die Lenkeinrich tung LE zusätzlich eine Überwachungseinheit Sv, welche, z.B. mittels eigener Sensoren und/oder ausgelöst durch ein Lenknot signal, das Auftreten von Fehlern in der Lenkeinrichtung LE - evtl. auch in sonstigen Teilen der Steuereinheit und/oder auch in sonstigen Teilen des Straßenfahrzeuges - überwacht. Diese Überwachungseinheit Sv kann notfalls reagieren, z.B. einen Reset auslösen kann, welcher die Auswertung durch die Rechner unterbricht und die Rechner zu einem Neustart ihrer Auswertung veranlaßt oder auf sonstige Weise ein entspechendes Überwa chungssignal - bevorzugt an die Rechner P 1, P 2 - liefert.In addition, in the example shown, the steering device LE additionally contains a monitoring unit Sv which, for example by means of its own sensors and / or triggered by a steering emergency, the occurrence of errors in the steering device LE - possibly also in other parts of the control unit and / or also in other parts of the road vehicle - monitored. This monitoring unit Sv can react if necessary, for example can trigger a reset, which interrupts the evaluation by the computers and causes the computers to restart their evaluation or in some other way provides a corresponding monitoring signal - preferably to the computers P 1 , P 2 .

Die Lenkeinrichtung LE enthält zusätzlich in redundanter Weise eine mechanische Klemmeinrichtung Nom, welche rein mechanisch im Notfall den bis dahin gegebenen Lenkwinkel der Hinterräder starr beibehält. Die Lenkeinrichtung LE enthält also aus Sicher heitsgründen zwei, durch Noh/Nom gebildete Notorgane, die, je des für sich, im Notfall den Lenkwinkel entsprechend dem ge wählten Notbetriebskonzept - im vorliegenden Fall also durch Klemmung der Lenkung - notfallgerecht steuern.The steering device LE additionally contains, in a redundant manner, a mechanical clamping device Nom , which, in a purely mechanical manner, rigidly maintains the steering angle of the rear wheels that was given up to that point. For safety reasons, the steering device LE thus contains two emergency organs formed by Noh / Nom , each of which, in its own right, controls the steering angle in an emergency in accordance with the selected emergency operating concept - in the present case, therefore, by clamping the steering - in an emergency.

Statt solcher Klemmvorrichtungen können erfindungsgemäß auch andere Arten von Notorganen angebracht sein, welche im Notfall z.B. den Lenkwinkel mehr oder weniger verzögert auf Null ein stellen.Instead of such clamping devices, the invention can also other types of emergency organs may be appropriate, which are in an emergency e.g. the steering angle more or less retarded to zero put.

Die einzelnen Organe der Lenkeinrichtung LE weisen zu ihrer Überwachung eigene Signalausgänge St auf, welche also Testsi gnale bzw. Statussignale liefern und im gezeigten Beispiel mit Signaleingängen St einer Vorverstärkerstufe VV der Rechner P 1, P 2 verbunden sind.The individual organs of the steering device LE have their own signal outputs St for their monitoring, which thus supply test signals or status signals and in the example shown are connected to signal inputs St of a preamplifier stage VV of the computers P 1 , P 2 .

In der Vorverstärkerstufe VV sind zusätzlich Sensoren bzw. die solchen Sensoren zugeordneten Analog-Digital-Umwandler ange bracht, z.B. elektronische Einheiten, welche den Zustand eines Lenkradwinkelsensors Lw1, eines automatischen Bremssystems ABS, der Geschwindigkeit Tach, den sicherheitshalber gedoppelten Statusausgängen Ist 1,2 des Stellaggregates Sa, den sicherheits halber gedoppelten Räder-Lenkwinkelsensoren Lwr 1,2, sonstigen Statusüberwachungen Stat und sonstigen beliebigen Eingängen Se - z.B. für die Außentemperatur, die Reifentemperatur und/oder die Lichtreflexion der mehr oder weniger spiegelnden Fahrbahn - entsprechen können.In the preamplifier stage VV sensors or such sensors associated analog-to-digital converter is introduced, such as electronic units which a steering wheel angle sensor Lw1, an automatic braking system ABS, the speed Tach, the safety's sake duplicated status outputs Is the condition are additional 1.2 of adjusting unit Sa, the safety sake doubled wheel steering angle sensors Lwr 1.2, other status monitoring Stat and other arbitrary inputs Se - for example, for the outside temperature, the tire temperature and / or the light reflection of the more or less reflective surfaces - can correspond.

In dieser Vorverstärkereinheit VV sind also nicht unbedingt nur die Sensoren selbst eingeschlossen, sondern oft auch elektroni sche Bestandteile derselben, welche die von Sensoren geliefer ten Sensorsignale, vgl. Ss, mehr oder weniger umrechnen bzw. umformen und an ihrem Ausgang Steuersignale liefern, welche den beiden Rechnern P 1, P 2 direkt oder über Zwischenstufen - vgl. Ae 1 bis Ae 3 - zugeführt werden. Bei der Erfindung sind also mindestens zwei Rechner P 1, P 2 vor handen, welchen die Steuersignale zur Auswertung - d.h. zur Er rechnung eines Rechenergebnisses, das seinerseits jeweils Steu ersignale für die Lenkeinrichtung LE erzeugen kann - zugeführt werden. Beide Rechner P 1, P 2 verarbeiten die ihnen im gezeigten Beispiel digital zugeführten Steuersignale also entsprechend Programmen, die sie speichern. Diese Programme enthalten oft Befehle, welche komplizierten Differentialgleichungen und zuge hörenden, manchmal recht langwierigen Iterativverfahren ent sprechen. Aus den Steuersignalen Ss, Lw 1, Lwr 1/2, ABS, Tach, Ist 1/2, St, Se werden also mittels dieser Programme mit manch mal geringerem, oft aber relativ großem Zeitaufwand zu Rechen ergebnissen verarbeitet, wobei die Rechenergebnisse trotz hoher Rechentaktfrequenz im MHz-Bereich oft jeweils erst nach 10 msec oder 40 msec vorliegen. Jeder Rechner P 1, P 2 für sich leitet aus seinen eigenen Rechenergebnissen ab, ob ein Notfall vor liegt oder nicht. Falls ein Notfall vorliegt, liefert der be treffende Rechner, ohne sein Rechenergebnis erst noch mit dem Rechenergebnis des anderen Rechners zu vergleichen, sofort sein Lenknotsignal unmittelbar - evtl. verstärkt über Zwischenver stärker Zv, vgl. Fig. 2 - an die Lenkeinrichtung LE ab, gemäß dem in Fig. 1 gezeigten Fall sofort sowohl an die hydraulische Klemmeinrichtung Noh als auch an die mechanische Klemmeinrich tung Nom.In this preamplifier unit VV , therefore, not only are the sensors themselves necessarily included, but often also electronic components of the same which emit the sensor signals supplied by sensors, cf. Ss , convert or convert more or less and deliver control signals at their output, which the two computers P 1 , P 2 directly or via intermediate stages - cf. Ae 1 to Ae 3 - are fed. In the invention, there are at least two computers P 1 , P 2 in front of which the control signals for evaluation - ie for calculating a calculation result, which in turn can generate control signals for the steering device LE - are supplied. Both computers P 1 , P 2 process the control signals supplied to them digitally in the example shown, in accordance with programs that they store. These programs often contain instructions that correspond to complicated differential equations and associated, sometimes quite lengthy iterative procedures. From the control signals Ss, Lw 1 , Lwr 1/2 , ABS, Tach, Ist 1/2 , St, Se , these programs are used to process calculation results with sometimes less, but often a relatively large amount of time, the calculation results despite high Computing clock frequency in the MHz range is often only available after 10 msec or 40 msec. Each computer P 1 , P 2 derives from its own calculation results whether an emergency is present or not. In the event of an emergency, the computer in question immediately delivers its steering emergency signal immediately without comparing its calculation result with the calculation result of the other computer - possibly amplified via intermediate amplifier Zv , cf. Fig. 2 - from the steering device LE , according to the case shown in Fig. 1 immediately to both the hydraulic clamping device Noh and the mechanical Klemmeinrich device nom.

Nur wenn beide Rechner P 1, P 2 gleichzeitig feststellen, daß so eben ein Notfall eingetreten ist, liefern beide Rechner P 1, P 2 gleichzeitig ihr Lenknotsignal individuell an die betreffenden Organe Noh/Nom der Lenkeinrichtung LE direkt ab. Falls zuerst der eine Rechner und erst mit einer gewissen Verzögerung - oder nie - der andere Rechner das Eintreten des Notfalls erkennt, liegt zumindest eine gewisse Zeitverschiebung zwischen der Ab gabe ihrer individuellen Lenknotsignale. Die Notorgane Noh/Nom werden dann aber bereits durch das erste Lenknotsignal akti viert, weil bei der Erfindung zur Vermeidung von Zeitverzöge rungen nicht erst abgewartet wird - z.B. mit Hilfe einer den beiden Rechnern P 1, P 2 nachgeschalteten Vergleichereinheit -, bis beide Rechner P 1, P 2 das Eintreten des Notfalles signali sierten.Only if both computers P 1 , P 2 simultaneously determine that an emergency has just occurred, do both computers P 1 , P 2 simultaneously simultaneously deliver their steering emergency signal directly to the relevant organs Noh / Nom of the steering device LE . If first the one computer and only after a certain delay - or never - the other computer recognizes the occurrence of the emergency, there is at least a certain time difference between the delivery of their individual steering emergency signals. The emergency organs Noh / Nom are then already activated by the first steering emergency signal because, in order to avoid time delays, the invention does not first wait - for example with the aid of a comparator unit connected downstream of the two computers P 1 , P 2 - until both computers P 1 , P 2 signaled the occurrence of an emergency.

Bei der Erfindung ist also verhindert, daß ein fehlerhaft ar beitender Rechner der Recheneinheit irrtümlicherweise kein Lenk notsignal abgibt, obwohl ein Notfall vorliegt, weil bei der Er findung der andere der beiden Rechner den Notfall erkennt und seinerseits unverzüglich sein Lenknotsignal sofort und direkt an die Notorgane Noh/Nom abgibt und die Steuerung der Lenkwin kel der Hinterräder gemäß dem gewählten Notbetriebskonzept aus löst. Die Erfindung ist hierbei nicht an ein spezielles Notbe triebskonzept gebunden : z.B. daß im Notfall der bisher gegebe ne Lenkwinkel der Hinterräder, wie bisher bevorzugt beschrieben wurde, starr beibehalten wird. Statt der Notorgane Noh/Nom kön nen auch andersartige Notorgane angebracht werden, welche im Notfall z.B. das mehr oder weniger verzögerte Einstellen des Lenkwinkels Null der Hinterräder auslöst.The invention thus prevents a faulty ar working computer from the computing unit erroneously not emitting a steering emergency signal, although there is an emergency, because when he finds the other of the two computers recognizes the emergency and in turn immediately transmits his steering emergency signal immediately and directly to the emergency organs Outputs Noh / Nom and triggers the control of the steering angle of the rear wheels in accordance with the selected emergency operating concept. The invention is not tied to a special emergency operating concept: for example, that in an emergency the previously given steering angle of the rear wheels, as previously described, is rigidly maintained. Instead of the emergency organs Noh / Nom , other types of emergency organs can also be attached, which in an emergency triggers, for example, the more or less delayed setting of the steering angle zero of the rear wheels.

Bei der Erfindung handelt es sich also um ein neuartiges Sicher heitskonzept, welches zusätzlich zu beliebigen Notbetriebskon zepten angewandt werden kann und zur weiteren Verbesserung der Beherrschung des Straßenfahrzeuges im Notfall dient. Durch die Erfindung wird die Fehlertoleranz der Steuereinheit erhöht, be sonders indem verhindert wird, daß ein fehlerhaft arbeitender Rechner irrtümlicherweise kein Lenknotsignal abgibt, obwohl ein Notfall vorliegt - eine besonders gefährliche Situation, die zu sehr schweren Unfällen des Straßenfahrzeuges führen könnte. The invention is therefore a new type of security unit concept, which in addition to any emergency operating con scepter can be applied and to further improve the Mastery of the road vehicle in an emergency. Through the Invention, the fault tolerance of the control unit is increased especially by preventing an incorrectly working person Computer mistakenly does not emit a steering emergency signal, although one There is an emergency - a particularly dangerous situation, too could cause very serious accidents to the road vehicle.

Trotzdem gestattet die Erfindung, im Notfall besonders schnell das Lenknotsignal abzugeben und die Maßnahmen gemäß dem gewähl ten beliebigen Notbetriebskonzept unverzüglich einzuleiten.Nevertheless, the invention allows particularly quickly in an emergency give the emergency steering signal and the measures according to the selected immediately initiate any emergency operating concept.

Das in Fig. 2 gezeigte Ausführungsbeispiel ist sehr ähnlich wie das in Fig. 1 gezeigte aufgebaut und betrieben. Statt einer Vor verstärkereinheit VV sind hier Sensoreinheiten angebracht, die für sich jeweils schon - zumindest zum Teil - elektronische Be standteile enthalten, so daß die Vorverstärkereinheit VV sozu sagen in Einzelteile aufgelöst und in den Sensoreinheiten ent enthalten ist. Diese Sensoreinheiten stellen z.B. gedoppelte Lenkradwinkel-Sensoreinheiten Lw 11/2 dar, wobei der eine Sen sor Lw 11 z.B. den Lenkwinkel an der Lenksäule und der andere Lenkradwinkel-Sensor Lw 12 z.B. am Lenkgetriebe und/oder an Tei len der Lenkung der Vorderräder angebracht sein mag. In ähnli cher Weise sind gedoppelte Hinterradlenkwinkel-Sensoreinheiten Lwr 1/2 angebracht, welche z.B. getrennt voneinander den Hinter rad-Lenkwinkel an beiden Hinterrädern und/oder indirekt an zu gehörenden Lenkstangen und/oder Lenkgetriebeteilen messen. Fer ner sind Sensoreinheiten Tach und ABS zur Erfassung der Fahr zeuggeschwindigkeit und des Bremssystemes angebracht.The exemplary embodiment shown in FIG. 2 is constructed and operated in a manner very similar to that shown in FIG. 1. Instead of a pre amplifier unit VV sensor units are mounted here already for each - at least partly - Electronic are standard terms contained so that the preamplifier VV sozu say split into individual parts and is ent in the sensor units. These sensor units represent, for example, double steering wheel angle sensor units Lw 11/2 , with one sensor Lw 11, for example, the steering angle on the steering column and the other steering wheel angle sensor Lw 12, for example on the steering gear and / or on parts of the steering of the front wheels like. In a similar manner, double rear wheel steering angle sensor units Lwr 1/2 are attached which, for example, separately measure the rear wheel steering angle on both rear wheels and / or indirectly on associated steering rods and / or steering gear parts. Tach and ABS sensor units for detecting the vehicle speed and the braking system are also attached.

Das in Fig. 2 gezeigte Beispiel enthält wieder zwei Rechner P 1, P 2, wobei die Signale der Sensoren, d.h. die den Rechnern zuge führten Steuersignale, wie bei dem in Fig. 1 gezeigten Beispiel in den beiden Rechnern P 1, P 2 ausgewertet werden.The example shown in FIG. 2 again contains two computers P 1 , P 2 , the signals from the sensors, ie the control signals supplied to the computers, being evaluated in the two computers P 1 , P 2 as in the example shown in FIG. 1 will.

Das in Fig. 2 gezeigt Beispiel enthält Leistungsverstärker als Zwischenverstärker Zv, welche ihrerseits dann die Lenkeinrich tung LE steuern, wobei hier die Lenkeinrichtung LE beispielhaft nach einem hydraulischen Verfahren arbeitet. Die Druckflüssig keit Hy wirkt über mechanische Sicherheitsventile Vm, über hy draulische Sicherheitsventile Vh und Servoventile Vs auf hydrau lisch gesteuerte Lenkwinkel-Beeinflussungseinheiten der Hinter räder, von denen eines, mit H bezeichnet, symbolisch mit Teilen seines Lenkgestänges, angedeutet ist. Beispielhaft sind Senso ren Lwr 1/2 gezeigt, welche indirekt den Lenkwinkel der Hinter räder H erfassen. Auch hier ist die Fehlertoleranz der Steuer einheit erhöht, indem erfindungsgemäß verhindert wird, daß die Recheneinheit irrtümlicherweise kein Lenknotsignal abgibt, ob wohl ein Notfall vorliegt, wobei jeder der beiden Rechner für sich, unabhängig vom andern Rechner, im Notfall sein Lenknotsi gnal sofort an die Lenkeinrichtung abgibt.The shown in FIG. 2, includes power amplifier as a repeater Zv, which in turn then the Lenkeinrich tung LE control, in which case the steering device LE exemplified works according to a hydraulic method. The hydraulic fluid Hy acts via mechanical safety valves Vm , via hydraulic safety valves Vh and servo valves Vs on hydraulically controlled steering angle influencing units of the rear wheels, one of which, denoted by H , is symbolically indicated with parts of its steering linkage. For example, sensors Lwr 1/2 are shown, which indirectly detect the steering angle of the rear wheels H. Again, the fault tolerance of the control unit is increased by preventing, according to the invention, that the computing unit does not mistakenly emit no steering emergency signal, whether there is an emergency, with each of the two computers, independently of the other computer, immediately sending its steering noti signal to the emergency Steering device delivers.

Den Rechnern P 1, P 2 können zum Selbsttest der Steuereinheit wie bei dem in Fig. 1 gezeigten Beispiel Testsignale und/oder Status signale St - vgl. Fig. 1, in Fig. 2 nicht gezeigt - von Bestand teilen der Steuereinheit zugeführt werden, wobei der betreffen de Rechner P 1 und/oder P 2, sobald er gemäß dem Selbsttest Stö rungen von Bestandteile, z.B. eines der gedoppelten Sensoren oder eines Notorgans Noh/Nom oder eines der Rechner P 1, P 2 selbst feststellte, in jedem Fall sicherheitshalber ein Lenknot signal an die hier gedoppelten -oder nicht gedoppelten - Lenk notorgane abgibt, um die Sicherheit des Straßenfahrzeugs zu er höhen. Auf diese Weise ist auch bei dem in Fig. 2 gezeigten Bei spiel die gefährliche Situation vermieden, daß bei wesentlichen Defekten oder Fehlzuständen der betreffenden Bestandteile die Zuverlässigkeit der Steuereinheit erheblich reduziert ist. Auch hier kann der Fahrer des Straßenfahrzeugs - wie bei dem in Fig. 1 gezeigten Beispiel - insbesondere durch signalisierende Lam pen L angehalten werden, möglichst bald eine Werkstatt aufzusu chen, um den Defekt der betreffenden Bestandteile beseitigen zu lassen.The computers P 1 , P 2 can self-test the control unit as in the example shown in FIG. 1, test signals and / or status signals St - cf. Fig. 1, not shown in Fig. 2 - parts of the control unit are supplied, the relevant computer P 1 and / or P 2 , as soon as it malfunctions of components, for example one of the duplicated sensors or an emergency organ, according to the self-test Noh / Nom or one of the computers P 1 , P 2 itself determined, in any case for safety's sake a steering emergency signal to the doubled - or not doubled - steering emergency organs to increase the safety of the road vehicle. In this way, the dangerous situation is avoided in the case of the example shown in FIG. 2, that the reliability of the control unit is considerably reduced in the event of significant defects or faulty conditions of the relevant components. Here, too, the driver of the road vehicle - as in the example shown in FIG. 1 - can be stopped, in particular by signaling lamps L , to visit a workshop as soon as possible in order to have the defect in the relevant components eliminated.

Bei dem in Fig. 1 gezeigten Beispiel enthält die Lenkeinrichtung LE in redundanter Weise mindestens zwei Notorgange Noh/Nom, die jedes für sich im Notfall dem Lenkwinkel entsprechend dem ge wählte Notbetriebskonzept notfallgerecht steuern. Dadurch ist ermöglicht, daß trotz eines Defektes eines dieser beiden Notor gane das vom Rechner abgegebene Lenknotsignal zuverlässig eine notfallgerechte Steuerung der Lenkung der Hinterräder auslöst, weil das noch einwandfrei funktionierende andere Notorgan in diesem Fall die notfallgerechte Steuerung seinerseits auslöst. In the example shown in FIG. 1, the steering device LE contains in a redundant manner at least two emergency operations Noh / Nom , each of which controls the steering angle in an emergency in an emergency in accordance with the selected emergency operating concept. This makes it possible that despite a defect in one of these two Notor gane the steering emergency signal issued by the computer reliably triggers an emergency-appropriate control of the steering of the rear wheels, because in this case the still properly functioning other emergency organ triggers the emergency-appropriate control itself.

Jeder Rechner gibt bei dem in Fig. 1 gezeigten Beispiel sein Lenkungsnotsignal - jedenfalls im Regelfall - jeweils an beide Notorgane Noh/Nom ab, und zwar jeweils über individuell den einzelnen Rechnern P 1/ P 2 zugeordnete eigene Lenknotsignallei tungen. Ein Bruch oder eine sonstige Störung auf einer solchen Lenknotsignalleitung sowie der völlige Ausfall eines der Rech ner behindert dann noch nicht die notfallgerechte Steuerung der Lenkung der Hinterräder.In the example shown in FIG. 1, each computer outputs its emergency steering signal - at least as a rule - to both emergency organs Noh / Nom , specifically via individual steering signals P 1 / P 2 assigned to the individual computers. A break or other malfunction on such a steering emergency signal line as well as the complete failure of one of the calculators does not hinder the emergency-appropriate control of the steering of the rear wheels.

Beim Start des Straßenfahrzeuges können beide Notorgane zu nächst wie im Notfall betrieben werden. Die Sicherheit des Straßenfahrzeuges ist dann auch beim Start erhöht, bei welchem manche der Sensorsignale, vgl. z.B. Ss, noch keine brauchbaren Werte darstellen und eine zuverlässige Auswertung durch die beiden Rechner oft noch unmöglich ist.When the road vehicle is started, both emergency organs can initially be operated as in an emergency. The safety of the road vehicle is then also increased at the start, in which some of the sensor signals, cf. eg Ss , do not yet represent any useful values and reliable evaluation by the two computers is often still impossible.

Besonders bei dem in Fig. 1 gezeigten Beispiel tauschen beide Rechner P 1, P 2 - zur nachträglichen Notfalldiagnose und/oder zum gegenseitigen Testen während des laufenden Betriebes und/ oder beim Start des Straßenfahrzeuges - jeweils direkt oder indirekt entsprechende dokumentierende Informationen aus. Das kann auf verschiedene Weisen durchgeführt werden :In the example shown in FIG. 1 in particular, both computers P 1 , P 2 - for subsequent emergency diagnosis and / or for mutual testing during ongoing operation and / or when starting the road vehicle - each directly or indirectly exchange corresponding documenting information. This can be done in several ways:

Die schon oben erwähnte Überwachungseinheit Sv, vgl. Fig. 1, kann ihrerseits einen nachträglichen Vergleich zwischen den beiden Rechnern - insbesondere zwischen deren relevanten Zwi schenergebnisse und Endergebnisse der Auswertungen - verglei chen und bei Bedarf die Rechner mittels des Interrupt-Signals IntR unterbrechen, z.B. um besondere Eigentestprogramme in den beiden Rechnern ablaufen und um nachträglich die Rechner mit tels eines Startsignals Reset wieder anlaufen zu lassen. Beson ders falls sich einer oder beide Rechner total "verrannten", also die Iterativverfahren nach einer vernünftigen Zeitdauer zu keinem genügend präzisen Ergebnis führten, kann diese Überwa chungseinheit Sv, z.B. mittels eines Watch-Dog und des Reset- Signales den oder die betreffenden Rechner wieder neu starten. The monitoring unit Sv mentioned above, cf. Fig. 1, in turn, a subsequent comparison between the two computers - in particular between their relevant inter mediate results and final results of the evaluations - compare chen and interrupt the computer if necessary using the interrupt signal IntR, for example, to run special self-test programs in the two computers and to subsequently restart the computer using a reset start signal. In particular, if one or both computers totally "got lost", that is, the iterative process did not lead to a sufficiently precise result after a reasonable period of time, this monitoring unit Sv can , for example by means of a watch dog and the reset signal, the computer or computers in question again start anew.

Im Prinzip ist es jedoch nicht nötig, eine eigene solche Über wachungseinheit Sv anzubringen. Statt dessen können solche Über wachungen auch innerhalb der Rechner P 1, P 2 selbst von Zeit zu Zeit, z.B. mit Hilfe eines Watch-Dog und direkte Leitungen DL, erreicht werden, besonders wenn die Rechner Speicherbereiche in sich aufweisen, in welche der andere Rechner aktiv schreiben und aus welchem der andere Rechner aktiv lesen kann, ohne den Betrieb des hierbei passiven Rechners zu unterbrechen.In principle, however, it is not necessary to install such a monitoring unit Sv . Instead, such surveillance can also be achieved within the computer P 1 , P 2 itself from time to time, for example with the aid of a watch dog and direct lines DL , especially if the computers have memory areas in which the other computer is located write actively and from which the other computer can actively read without interrupting the operation of the passive computer.

Dazu können die Informationen z.B. aber auch in dem Dual-Port- RAM DPR so zwischengespeichert werden, daß jeder Rechner P 1, P 2 dort einen Speicherbereich hat, in welchem er selbst Schreiben und Lesen und der andere Rechner aber nur Lesen kann. Dies ist durch die besondere Art der Pfeile zwischen den Rechnern P 1, P 2 und dem betreffenden Speicher DPR angedeutet. Dieser Speicher DPR kann jedoch zusätzlich einen besonderen Speicherbereich aufweisen, welcher von beiden Rechnern P 1, P 2 beliebig gelesen und (!) beschrieben werden kann.For this purpose, the information can also be temporarily stored in the dual-port RAM DPR, for example, so that each computer P 1 , P 2 has a memory area in which it can write and read and the other computer can only read. This is indicated by the special type of arrows between the computers P 1 , P 2 and the relevant memory DPR . However, this memory DPR can additionally have a special memory area which can be read and written (!) By both computers P 1 , P 2 as desired.

Mittels eines solchen Speichers DPR kann übrigens auch eine Do kumentation erstellt werden, welche zusätzlich Steuerbefehle dokumentiert, die zu den Zwischenergebnissen oder zum Endergeb nis der Auswertung führten: Durch Vergleich solcher Dokumente können sich bei Bedarf die Rechner auch gegenseitig neu star ten, falls die gespeicherten Informationen zu stark divergieren und besonders auch, falls die Rechner sich gänzlich verrannten. Der Speicher DPR hat den Vorzug, daß die Rechner sogar asyn chron, jedenfalls taktverschoben arbeiten können, ohne daß sich die Rechner gegenseitig durch den Vergleich verzögern und die rasche unmittelbare Erzeugung des Lenknotsignales zu behindern.Such a memory DPR can also be used to create documentation that also documents control commands that led to the intermediate results or to the end result of the evaluation: By comparing such documents, the computers can also restart each other if necessary, if the saved ones Information diverge too much and especially if the computers get lost completely. The memory DPR has the advantage that the computers can even work asynchronously, at least clock-shifted, without the computers delaying one another through the comparison and hindering the rapid immediate generation of the steering emergency signal.

Die Rechner können so - besonders nach Abgabe eines Lenknotsi gnals und/oder nach dem Erkennen eines einem Fehler entsprechen den Statussignals St eines beliebigen Bestandteils, vgl. Noh, Sa, L, Sv, Nom - also zur Fehlerdiagnose veranlaßt, wozu beide Rechner angehalten werden können. Sobald die Diagnose getroffen und z.B. über die Einheit Diag abgespeichert wurde, werden schließlich beide Rechner neu gestartet. The computer can thus - especially after the delivery of a steering signal and / or after the detection of an error corresponding to the status signal St of any component, cf. Noh, Sa, L, Sv, Nom - so prompted for error diagnosis, for which both computers can be stopped. As soon as the diagnosis has been made and saved via the Diag unit, for example, both computers are finally restarted.

Falls beim Start die Lenkung zunächst wie im Notfalls betrieben wird, sollte die Lenkeinrichtung LE erst dann in den Normalbe trieb übergehen, wenn die Steuersignale und/oder die genannten Informationen ergaben, daß ein kein Notfall vorliegt.If at the start the steering is initially operated as in an emergency, the steering device LE should only go into normal operation when the control signals and / or the information indicated that there is no emergency.

Bevorzugt wird in der Startphase des Straßenfahrzeugs jedem Rechner ein anderes Notorgan der beiden Notorgane individuell zugeordnet, bis die Überprüfung der Notorgane schließlich deren Fehlerfreiheit signalisiert. Nach dem Übergang in den Normalbe trieb liefert im Notfall jeder Rechner sein Lenknotsignal aber direkt an beide Notorgane ab. Damit ist auf relativ übersicht liche Weise sicherstellbar, daß die Rechner und mehr oder weni ger alle wesentlichen Organe der Steuereinheit überprüften, be vor zum Normalbetrieb, d.h. zum normalen Lenken der Hinterräder, übergegangen wird.Everyone is preferred in the starting phase of the road vehicle Computer another emergency organ of the two emergency organs individually assigned until the review of the emergency organs finally their Error-free signals. After the transition to normal In the event of an emergency, each computer delivers its steering emergency signal directly to both emergency organs. This is a relatively clear overview Liche way to ensure that the calculator and more or less eng checked all the main organs of the control unit, be before normal operation, i.e. for normal steering of the rear wheels, is passed over.

Besonders zuverlässig sind solche Notorgane, die selbst erst nach Aktivierung mittels eines besonderen Aktivierungsprozesses ihrerseits in den Normalbetriebszustand übergehen. Solche Not organe sind also im Ruhezustand und unmittelbar nach dem Start des Straßenfahrzeuges von sich aus wie im Notfall betrieben, unabhängig von den beiden Rechnern.Such emergency organs are particularly reliable if they are themselves after activation using a special activation process in turn switch to the normal operating state. Such hardship organs are therefore at rest and immediately after starting the road vehicle is operated on its own as in an emergency, regardless of the two computers.

Die Rechner können im Prinzip synchron arbeiten. Bevorzugt wird aber ein Betrieb, bei welchem die beiden Rechner zwar synchron, aber angenähert um eine halbe Auswerteperiode zeitlich verscho ben arbeiten. Wenn die Auswerteperiode eines Rechners also z.B. im Mittel 20 msec dauert, dann beträgt die optimale zeitliche Verschiebung angenähert 10 msec. Auf diese Weise ist erreichbar, daß der eine Rechner sein Lenknotsignal bereits abgibt, während der andere seine Auswertung noch gar nicht abgeschloß. Eine sol che Steuereinheit reagiert also im Regelfall, solange nämlich beide Rechner einwandfrei arbeiten, im Notfall besonders rasch.In principle, the computers can work synchronously. Is preferred but an operation in which the two computers are synchronous, but delayed by approximately half an evaluation period ben work. If the evaluation period of a computer is e.g. lasts on average 20 msec, then the optimal time is Shift approximately 10 msec. In this way it is achievable that the one computer already emits its steering emergency signal while the other has not yet completed his evaluation. A sol che control unit usually responds, as long as namely both computers work perfectly, especially quickly in an emergency.

Man kann jedoch die Zuverlässigkeit der Steuereinheit auch auf andere Weise zusätzlich erhöhen. So kann man die Rechner soft ware-mäßig und/oder hardware-mäßig verschieden ausstatten und dann sogar asynchron betreiben. Entsprechend werden dann viele Folgen von Software-Fehlern und Hardware-Fehlern unschädlich, besonders wenn wegen unterschiedlicher Programme der eine der beiden Rechner sich verrennt, wo hingegen der andere Rechner aufgrund seines Programmes noch relativ rasch zu einem von ihm selbst akzeptierten Rechenergebnis kommt. Durch eine solche asynchrone Betriebsweise beider Rechner, welche besonders durch Software- und/oder Hardware-Unterschiede ermöglicht wird, kön nen also beide Rechner sehr flexibel entsprechend ihrem jewei ligen Zeitbedarf zur Auswertung der Steuersignale arbeiten, was gerade in kritischen Situationen die Reaktionsgeschwindigkeit der Steuereinheit stark erhöhen kann.However, you can also check the reliability of the control unit increase other way additionally. So you can make the computers soft equip goods and / or hardware differently and then even operate asynchronously. Many will become accordingly Consequences of software errors and hardware errors harmless, especially if one of the both computers get lost, whereas the other computer due to his program still relatively quickly to one of him even accepted calculation result comes. By such Asynchronous mode of operation of both computers, which is particularly affected by Software and / or hardware differences is made possible So both computers are very flexible according to their respective requirements lige time required to evaluate the control signals work what especially in critical situations the reaction speed the control unit can greatly increase.

Auch die Sensoren können in redundanter Weise mehrfach ange bracht und also auch in redundanter, im Prinzip aber sehr unter schiedlicher Weise dieselbe physikalische Größe messen. Z.B. können Lenkwinkelausschläge einmal in unmittelbarer Nähe der betreffenden Räder und dann redundant zusätzlich nahe an Lenk getriebeteilen gemessen werden. Vor allem ist es auch möglich, nur jenen Sensor der redundanten Sensoren für die Auswertung zu berücksichtigen, welcher die stärksten Anzeichen eines Not falles liefert.The sensors can also be used several times in a redundant manner and therefore also redundant, but in principle very accommodating measure the same physical quantity differently. E.g. can turn steering angles in the immediate vicinity of the concerned wheels and then redundant additionally close to steering gear parts are measured. Above all, it is also possible only that sensor of the redundant sensors for evaluation to take into account which are the strongest signs of an emergency case supplies.

Es ist nicht nötig, daß die Sensorsignale oder daraus gewonnene - z.B. digitale - Steuersignale stets unmittelbar den Rechnern zugeführt werden. Man kann dazwischen auch Aufbereitungseinhei ten - vgl. Ae 1, Ae 2, Ae 3 in Fig. 1 und Ae in Fig. 2 - in die Zu führungen einfügen, welche die Steuersignale vorbearbeiten, z.B. in aus den Sensorsignalen ableitbare Parameter umrechnen, und/oder aus verschiedenen Sensorsignalen ein gemeinsames Steu ersignal erarbeiten. Solche Aufbereitungseinheiten ermöglichen, daß die Rechner P 1, P 2 für sich in einem besonders raschen Aus werteperiodentakt arbeiten können, was die Zuverlässigkeit der Steuereinheit weiter erhöht.It is not necessary that the sensor signals or control signals obtained from them, for example digital ones, are always fed directly to the computers. Processing units can also be used in between - cf. Ae 1 , Ae 2 , Ae 3 in Fig. 1 and Ae in Fig. 2 - in the guides to preprocessing the control signals, for example converting them into parameters derived from the sensor signals, and / or working out a common control signal from different sensor signals . Such processing units enable the computers P 1 , P 2 to work for themselves in a particularly rapid evaluation period, which further increases the reliability of the control unit.

Solche Aufbereitungseinheiten können im Prinzip ihre Ergebnisse getrennt an die Rechner, vgl. AE 1, AE 2 in Fig. 1, oder auch ge meinsam an beide Rechner, vgl. Ae 3 in Fig. 1 und Ae in Fig. 2, weitergeben. Wenn sie ihre Ergebnisse jeweils an beide Rechner weitergeben, wird die Entlastung der beiden Rechner mit beson ders wenig Hardware-Aufwand erreicht - wobei dann, wenn diese Aufbereitungseinheit dann zusätzlich gedoppelt ist, vgl. FIG 2, eine gegenseitige Überwachung bzw. eine worst-case-Selection durch die Rechner möglich, und die Rechner auch bei fehlerhaf tem Arbeiten einer der beiden Aufbereitungseinheiten noch sehr zuverlässig und rasch im Bedarfsfall ihr Lenknotsignal abgeben.In principle, such processing units can send their results separately to the computer, cf. AE 1 , AE 2 in Fig. 1, or ge together to both computers, see. Pass Ae 3 in Fig. 1 and Ae in Fig. 2. If they pass on their results to both computers, the load on the two computers is achieved with particularly little hardware outlay - and when this processing unit is then doubled, cf. 2 , a mutual monitoring or a worst-case selection by the computers is possible, and the computers still emit their steering emergency signal very reliably and quickly, if necessary, even if one of the two processing units malfunctions.

Über eine nachträgliche Diagnose mittels einer Diagnoseeinheit Diag kann später bei der Wartung des Straßenfahrzeuges die Ur sache von Störungen der Steuereinheit, z.B. bei Bedarf auch der Abweichungen zwischen den beiden Aufbereitungseinheiten, näher ermittelt werden.Via subsequent diagnosis using a diagnostic unit Diag can later use the original for the maintenance of the road vehicle cause of malfunctions in the control unit, e.g. if necessary also the Deviations between the two processing units, closer be determined.

Im Prinzip kann man Sensoren, welche redundant angebracht sind, so aufgeteilt an die Aufbereitungseinheiten anschließen, daß der eine Sensor an die eine Aufbereitungseinheit und der andere Sensor an die andere Aufbereitungseinheit angeschlossen wird, vgl. z.B. Fig. 2. Dies gestattet z.B., nachträglich die Ursachen für unterschiedliche Sensorsignale von an sich zusammengehören den redundanten Sensoren, z.B. mittels der Einheit Diag oder z.B. durch die Rechner selbst oder durch die Überwachungsein heit Sv - vgl. Fig. 1 - zu ermitteln.In principle, sensors which are mounted redundantly can be connected to the processing units in such a way that one sensor is connected to one processing unit and the other sensor to the other processing unit, cf. For example, Fig. 2. This allows, for example, the causes of different sensor signals from the redundant sensors belonging together, for example by means of the unit Diag or for example by the computer itself or by the monitoring unit Sv - cf. Fig. 1 - to be determined.

Claims

1. Electronic control unit for steering the rear wheels of a road vehicle, with

- A steering device (LE) which, in an emergency controlled by a steering emergency signal, controls the steering angle of the rear wheels in an emergency in accordance with a selected emergency operating concept - e.g. controls the steering angle with a delay to ZERO or, for example, rigidly maintains the last given steering angle,
Sensors (SE with Lwr 1 , Lwr 2 , ABS, Tach, Ist 1 , Ist 2 , St) , which at least in each case the steering angle (Lwr 1 , Lwr 2 ), the driving speed (Tach) and the steering wheel angle (Lw 1 ), or detect quantities dependent thereon, and - a computing unit (P) which contains a computer (P 1 , P 2 ) to which the sensor signals and / or signals derived therefrom are supplied as control signals and which (P 1 , P 2 ), depending on a program-controlled, emergency-recognizing evaluation of the control signals, transmits the emergency steering signal to the steering device (LE) in an emergency ,

characterized in that

- In the computing unit (P) the computer is duplicated (P 1 , P 2 ), - the control signals are fed to each of the two computers (P 1 , P 2 ), - both computers (P 1 , P 2 ) have the control signals for themselves evaluate, and
- Each computer (P 1 , P 2 ), independently of the other computer (P 2 , P 1 ), immediately sends a steering emergency signal to the steering device (LE) in an emergency.

2. Control unit according to claim 1, characterized in that

- The computers (P 1 , P 2 ) for self-test of the control unit also test signals and / or status signals (St) of components (Noh, Sa, L, Sv, Nom) of the control unit are supplied, and
- The computer in question (P 1 , P 2 ), if it detects malfunctions of its own components in accordance with the self-test, emits a steering signal.

3. Control unit according to claim 1 or 2, characterized in that

- The steering device (LE) has at least two emergency organs (Noh, Nom ) in a redundant manner, each of which can control the steering angle in accordance with the emergency operating concept in an emergency.

4. Control unit according to claim 3, characterized in that

- Each computer (P 1 , P 2 ) delivers its emergency steering signal - at least as a rule - to both emergency organs (Noh, Nom) via individual steering signals assigned to the individual computers (P 1 , P 2 ).

5. Control unit according to one of the preceding claims, characterized in that

- Exchange both computers (P 1 , P 2 ) for subsequent emergency diagnosis and / or for mutual testing at the start and / or while the road vehicle is running, information.

6. Control unit according to claim 5, characterized in that

- That the information in a dual-port RAM (DPR) is saved so that each computer (P 1 , P 2 ) has a memory area in which it can write and read itself and in which the other computer (P 2 , P 1 ) can only read, regardless of whether a special memory area can also be read and written by both computers (P 1 , P 2 ).

7. Control unit according to claim 5 or 6, characterized in that

- After delivery of a steering emergency signal and / or after detection of a status signal (St) corresponding to an error of a component (Noh, Sa, L, Sv, Nom) of the control unit, both computers (P 1 , P 2 ) stopped, prompted for error diagnosis and finally both (P 1 , P 2 ) are restarted.

8. Control unit according to one of the preceding claims, characterized in that

- At the start of the road vehicle, the emergency organ (Noh, Nom) is initially operated as in an emergency.

9. Control unit according to claim 8 and one of the claims 3 or 4, characterized in that

- In the starting phase of the road vehicle, each computer (P 1 , P 2 ) is assigned a different emergency organ (Noh, Nom) of the two emergency organs (Noh, Nom) until a check of the emergency organs (Noh, Nom) shows that they are free of errors.

10. Control unit according to claim 9, characterized in that

- The steering device (LE) only goes into normal operation as soon as the control signals and / or information exchanged between the computers (P 1 , P 2 ) show that there is no emergency.

11. Control unit according to one of the preceding claims, characterized in that

- Both emergency organs (Noh, Nom) are constructed in such a way that after the start of the road vehicle they only go into normal operation after activation by means of a special activation process.

12. Control unit according to one of the preceding claims, characterized in that

- At least one of the two computers (P 1 , P 2 ) generates steering signals during normal operation, which it emits to the steering device (LE , be special Sa) for normal steering angle control.

13. Control unit according to one of the preceding claims, characterized in that

- evaluate both computers (P 1 , P 2 ) synchronously.

14. Control unit according to claim 13, characterized in that

- Evaluate both computers (P 1 , P 2 ) synchronously, but approximately shifted in time by half an evaluation period.

15. Control unit according to one of the preceding claims, characterized in that

- The one computer (P 1 ) contains a different evaluation program than the other computer (P 2 ).

16. Control unit according to one of the preceding claims, characterized in that

- The one computer (P 1 ) has a different hardware structure than the other computer (P 2 ).

17. Control unit according to one of claims 1 to 13 and according to at least one of claims 15 or 16, characterized in that

- evaluate both computers (P 1 , P 2 ) asynchronously.

18. Control unit according to one of the preceding claims, characterized in that

- At least one of the computers (P 1 , P 2 ) associated sensors (Lwr 1 , Lwr 2 , actual 1 , actual 2 ) or at least one of the control signals supplied to the computers, based on the totality of the control signals, in itself redundant is.

19. Control unit according to one of the preceding claims, characterized in that

- between at least some of the sensors (Lwr 1 , Lwr 2 , ABS, Tach, Ist 1 , Ist 2 , Stat) and the inputs of at least one of the computers (P 1 ) each have hardware as a processing unit (Ae 1 , Ae 2 ), the control signals derived from the sensor signals are generated and inserted in such a way that the relevant control signals are connected to the individual processing unit (Ae 1 ) which is the only one downstream (Ae 1 to P 1 , Ae 2 to P 2 ) of the two computers (P 1 , P 2 ) fed alone.

20. Control unit according to one of the claims 1 to 18, characterized in that

- Between at least some of the sensors (Lwl 1 , Lwr 2 , ABS, Tach, Ist 1 , Ist 2 ) and the inputs of the computers (P 1 , P 2 ) each have hardware as a processing unit (Ae 3 ), which consists of the Sensor signals derived control signals generated, such that it is added that the relevant control signals are supplied to both computers (P 1 , P 2 ).

21. Control unit according to claims 18 and claim 19 or 20, characterized in that

- each one (Lwr 1 , Ist 1 ) of two associated redundant sensors (Lwr 1 / Lwr 2 , Ist 1 / Ist 2 ) to the one processing unit, and the other (Lwr 2 , Ist 2 ) of these sensors (Lwr 1 / Lwr 2 , Ist 1 / Ist 2 ) is connected to the other processing unit.